3大Web安全漏洞防禦詳解：XSS、CSRF、以及SQL註入解決方案
隨著互聯網的普及，網絡安全變得越來越重要。Java等程序員需要掌握基本的web安全知識，防患於未然，下面列舉壹些常見的安全漏洞，以及對應的防禦解決方案。
1.前端安全
2.後端安全
1.XSS簡介
跨站腳本（cross site script）簡稱為XSS，是壹種經常出現在web應用中的計算機安全漏洞，也是web中最主流的攻擊方式。
XSS是指惡意攻擊者利用網站沒有對用戶提交數據進行轉義處理或者過濾不足的缺點，進而添加壹些代碼，嵌入到web頁面中去，使別的用戶訪問都會執行相應的嵌入代碼。
2.XSS攻擊的危害
1、盜取用戶資料，比如：登錄帳號、網銀帳號等
2、利用用戶身份，讀取、篡改、添加、刪除企業敏感數據等
3、盜竊企業重要的具有商業價值的資料
4、非法轉賬
5、強制發送電子郵件
6、網站掛馬
7、控制受害者機器向其它網站發起攻擊
3.防止XSS解決方案
XSS的根源主要是沒完全過濾客戶端提交的數據 ，所以重點是要過濾用戶提交的信息。
1.CSRF簡介
CSRF（Cross-site request forgery）跨站請求偽造，也被稱為“One Click Attack”或者Session Riding，通常縮寫為CSRF或者XSRF，是壹種對網站的惡意利用。
XSS利用站點內的信任用戶，而CSRF則通過偽裝來自受信任用戶的請求來利用受信任的網站。與XSS攻擊相比，CSRF更具危險性。
2.CSRF攻擊的危害
主要的危害來自於，攻擊者盜用了用戶身份，發送惡意請求。比如：模擬用戶的行為發送郵件，發消息，以及支付、轉賬等財產安全。
3.防止CSRF的解決方案
1.簡介
SQL註入是比較常見的網絡攻擊方式之壹，主要是通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字符串，實現無帳號登錄，甚至篡改數據庫。
2.SQL註入的危害
3.防止SQL註入的方式
通常情況下，SQL註入的位置包括：
（1）表單提交，主要是POST請求，也包括GET請求；
（2）URL參數提交，主要為GET請求參數；
（3）Cookie參數提交；
（4）HTTP請求頭部的壹些可修改的值，比如Referer、User_Agent等；
4.簡要舉例
舉壹個簡單的例子,select * from user where id=100 ,表示查詢id為100的用戶信息，如果id=100變為 id=100 or 2=2,sql將變為：select * from user where id=100 or 2=2，將把所有user表的信息查詢出來，這就是典型的sql註入。
5.防止SQL註入的解決方案
1）對用戶的輸入進行校驗，使用正則表達式過濾傳入的參數
2）使用參數化語句，不要拼接sql，也可以使用安全的存儲過程
3）不要使用管理員權限的數據庫連接，為每個應用使用權限有限的數據庫連接
4）檢查數據存儲類型
5）重要的信息壹定要加密
總之就是既要做好過濾與編碼並使用參數化語句，也要把重要的信息進行加密處理，這樣sql註入漏洞才能更好的解決。
以上就是Web安全介紹，更多Redis系列、Spring Cloud、Dubbo等微服務、MySQL數據庫分庫分表等架構設計，具體請參考：
回復關鍵詞 高並發即可獲取！